pull-filter OpenVPN passar meira en leiðin sem þú áttir við

Þú bætir við einni línu til að halda staðbundinni sjálfgefinni leiðinni þinni, og eftir það nær göngin ekki lengur innri DNS-þjóninum. Línan var pull-filter ignore "route", sem þýðir ekki "hunsaðu þessa leið". Hún þýðir "hentu hverjum ýttum valkosti sem texti hans byrjar á þessum fimm stöfum", og á venjulegum þjóni felur það í sér route-gateway, route-metric og route-ipv6 ásamt leiðunum sjálfum. Gátlistinn hér að neðan er það sem ég keyri áður en ég snerti snið sem einhver annar þarf að nota.

Sían gildir aðeins um ýtta valkosti

pull-filter verkar aðeins á valkostalínurnar sem þjónninn sendir eftir að göngin eru komin á, og á ekkert annað. Valkostir sem skrifaðir eru í staðbundna skrána þína verða ekki fyrir áhrifum, og umferð forrita ekki heldur. Ef þú vonaðir að koma í veg fyrir að ferli notaði göngin er þetta algjörlega rangt tól og engin samsetning sía mun gera það.

Þetta umfang er gagnlegt, því það þýðir að þú getur látið stillingar þjónsins vera og samt hafnað hluta hennar staðbundið. Það er líka takmörkun sem er þess virði að skrá í miðann: sía breytir því sem þessi biðlari samþykkir, ekki því sem þjónninn býður. Hún hefur engin áhrif á aðra notendur sama sniðs. Hún lifir heldur ekki af skipti yfir í annan biðlara sem innleiðir ekki valkostinn, sem er þess virði að vita áður en þú byggir vinnuflæði á honum.

Staðfestu hvað þjónninn sendir í raun áður en þú skrifar mynstrið. Við háa smáatriðastig prentar biðlarinn strenginn af ýttum valkostum sem hann fékk, og það er eina heiðarlega heimildin fyrir nákvæma textann sem þú berð saman við:

sudo openvpn --config /etc/openvpn/corp.ovpn --verb 4
sudo grep -n 'pull-filter' /etc/openvpn/corp.ovpn

Lestu ýttu línuna sem lista af valkostum aðskildum með kommum, og taktu eftir að nöfn valkosta og rök þeirra eru aðskilin með bilum. Texti sían þín er borinn saman við þetta flæði, þess vegna skipta bilin svo miklu máli í næsta skrefi.

Samsvörun er forskeyti, svo bilin eru allt leikurinn

Samanburðurinn er strengjaforskeyti, ekki þáttað valkostanafn. Þess vegna passar "route" við route-gateway 10.8.0.1, route-ipv6 2001:db8::/32 og route-metric 100. Eitt bil í lokin þrengir það að fjölskyldunni sem þú áttir líklega við, og fullt forskeyti þrengir það frekar að tilteknum áfangastað.

Síðasta röðin er sú sem grípur fólk í vinnu með klofin göng. Að halda eigin leysi er lögmætur valkostur, og það þýðir að hvert innra nafn er nú háð leysi sem getur ekki séð einkasvæðið. Það er afleiðing sem er samþykkt viljandi, ekki aukaverkun sem uppgötvast í framleiðslu.

Forskeytasamsvörun þýðir líka að regla getur síðar breikkað hljóðlega. Þegar þjónninn bætir við nýjum valkosti sem byrjar á textanum þínum byrjar sían þín að gilda um hann án þess að nokkur breyti sniðinu þínu. Það er bilunarhamurinn sem þarf að hanna gegn, og mildunin er að passa sem mest af valkostinum, ekki sem minnst.

Þrjár sagnir með þrjár ólíkar niðurstöður

accept, ignore og reject eru ekki þrjár stafsetningar sömu hugmyndar. Þau eru ólík í því hvað biðlarinn gerir við samsvörun og hvort einhver komist að því.

ignore hendir samsvarandi valkosti hljóðlega, sem er það sem þú vilt fyrir stillingu sem þú hefur viljandi skipt út. reject hendir honum og lætur biðlarann kvarta, sem er það sem þú vilt þegar fjarvera hans á að sjást í annál, frekar en að uppgötvast síðar. accept er jákvæða formið, notað þegar þú byggir leyfislista í stað þess að fjarlægja einstaka valkosti.

Hvaða sögn sem þú notar eru síurnar notaðar í þeirri röð sem þær birtast, svo tvær reglur sem skarast gefa niðurstöðu sem er háð röð og mjög erfitt að yfirfara. Hafðu eina reglu fyrir hverja ætlun og settu nákvæmasta textann í hverja. Ef þú þarft leyfislista skaltu velja fáar accept reglur frekar en hrúgu af ignore reglum sem leggjast saman í það sama. Þá geta yfirferðarmenn lesið skrána frá uppi og niður og spáð fyrir umkomuna, og það er eina prófið sem stendur undir skali.

Staðfestu beittu leiðina og leysinn, ekki sniðið

Sía sem lítur rétt út í skránni getur samt skilið þig eftir með göng sem beina engu gagnlegu. Staðfestu áhrifin á keyrandi kerfinu, þar sem ýttum valkostum hefur þegar verið beitt eða þeim hent:

ip route show default
ip route show | grep -c 'proto static'
resolvectl status | grep -A4 'Link.*tun0'
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://intranet.example.internal/

Fyrstu tvær línurnar segja þér hvort ýtta sjálfgefna leiðin kom og hversu margar kyrrstæðar færslur lifðu af. Fyrirspurnin til leysisins sýnir hvaða þjón göngviðmótið notar í raun, og það er venjulega þar sem DNS-undur kemur í ljós. Síðasta línan svarar einu spurningunni sem skiptir máli fyrir notanda.

Prófaðu báðar áttir meðan þú ert þar. Regla sem heldur staðbundnu netinu þínu gangandi en brýtur hljóðlega innri nafnupplausn stenst yfirborðslega athugun og bregst á fyrsta raunverulega verkefninu, svo hafðu bæði innri auðlind og opinbera vefsíðu í sama prófi.

Skráðu undantekninguna og hver á hana

Sía er undantekning frá hönnun rekstraraðilans, svo skrifaðu hana með ástæðu og yfirferðarpunkti. "Hunsar ýttar leiðir til að halda staðbundnu sjálfgefnu" er yfirfaranlegt; ber lína í sniði er það ekki, og næsta manneskja mun eyða henni eða bæta við hana með ágiskun.

Útgáfan skiptir líka máli hér. Samsvörunarhegðunin og nákvæm samþykkt setningafræði hafa verið fínpússuð í OpenVPN 2.4, 2.5 og 2.6, svo staðfestu mynstrið við handbók þeirrar byggingar sem þú sendir frá þér, ekki við vefpóst um eldri útgáfu. Handbók OpenVPN 2.6 skjalfestir valkostinn og samsvörunarreglu hans.

Að lokum, samþykktu undantekninguna við þann sem rekur þjóninn. Biðlarahliðarsía sem stangast á við viljandi þjónstefnu er stuðningsatvik sem bíður næstu úttektar, og það er miklu ódýrara að útkljá hana áður en sniðið er sent frá sér en eftir að einhver tekur eftir að leiðirnar vantar.